De Cyberbeveiligingswet is er. En nu?
18 augustus 2026
Op 15 augustus 2026 is de Cyberbeveiligingswet in werking getreden. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Er zit geen overgangsperiode in. De wet geldt gewoon.
Als je dit leest en denkt "geldt dit voor ons", dan is dat een terechte vraag. Volgens het NCSC raakt de wet ruim achtduizend organisaties direct. Het aantal bedrijven dat er iets van merkt ligt een stuk hoger, want die achtduizend moeten ook hun leveranciers meenemen.
Val je eronder?
Twee dingen bepalen het, en ze moeten allebei kloppen.
Je sector. De wet noemt achttien sectoren, verdeeld over twee bijlagen. Bijlage 1 bevat elf zeer kritieke sectoren, zoals energie, drinkwater, digitale infrastructuur, zorg en vervoer. Bijlage 2 bevat er zeven, waaronder post, afval, chemie, levensmiddelen en digitale aanbieders.
Je omvang. Het NCSC zet het zo neer: je valt eronder als je vijftig of meer medewerkers hebt in fte, of als je er minder dan vijftig hebt maar zowel je jaaromzet als je balanstotaal boven de tien miljoen euro ligt.
Op die tweede regel bestaat een uitzondering die vaak wordt gemist. Een aantal soorten organisaties valt eronder ongeacht hun omvang: aanbieders van openbare elektronische communicatienetwerken en -diensten, verleners van vertrouwensdiensten, aanbieders van registers voor topleveldomeinnamen, DNS-dienstverleners, verleners van domeinnaamregistratiediensten en overheidsorganisaties. Een klein bedrijfje van drie man dat domeinnamen registreert valt er dus wel onder.
Val je eronder, dan zit je in een van twee bakjes. Essentiële entiteiten staan onder proactief toezicht, wat betekent dat de naleving actief wordt gecontroleerd, ook zonder aanwijzing dat er iets mis is. Belangrijke entiteiten vallen onder reactief toezicht, dus daar wordt pas gekeken na een signaal of een incident. Het verschil zit in het toezicht en niet in wat je moet doen. Die verplichtingen zijn hetzelfde.
Zelf uitzoeken in welk bakje je valt is lastiger dan het klinkt, zeker bij een groepsstructuur. De RDI heeft daar een zelfevaluatie voor, en het NCSC noemt die zelf de snelste route naar een antwoord. Doe die eerst, voordat je intern gaat redeneren.
De zorgplicht is tien maatregelen
Dit is het deel waar de meeste onduidelijkheid over bestaat, terwijl het gewoon opgeschreven staat. Het NCSC somt tien maatregelen op.
Twee dingen vallen op aan die lijst. Maatregel vier gaat over je toeleveringsketen, en dat is de reden dat deze wet veel verder reikt dan die achtduizend organisaties. Maatregel tien vraagt je te beoordelen of je maatregelen ook echt werken, en dat is iets anders dan ze een keer instellen.
Wat er niet in staat is hoe je het precies moet doen. Dat is bewust. Je bepaalt zelf welke invulling passend is, en de basis daarvoor is je risicoanalyse. Dat maakt maatregel één niet toevallig de eerste.
Melden gaat in drie stappen
Hier zie ik de meeste misverstanden. Het is niet één melding binnen 24 uur, het zijn er drie.
- Binnen 24 uur een vroegtijdige waarschuwing. Je geeft aan of het incident vermoedelijk kwaadwillig is en of er gevolgen over de grens zijn.
- Binnen 72 uur de eigenlijke melding. Je werkt je waarschuwing bij met een eerste beoordeling van de ernst en de gevolgen.
- Binnen een maand een eindverslag met het incident, de oorzaak en de maatregelen die je nam. Duurt het incident langer dan een maand, dan dien je op dat moment een voortgangsverslag in.
Het meldpunt is MijnNCSC, en dat is prettiger dan het lijkt: met één melding bereik je in één keer je sectorale CSIRT en je toezichthouder. Je hoeft dus niet uit te zoeken wie er als eerste gebeld moet worden.
De klok begint te lopen op het moment dat je kennis krijgt van het incident. Vierentwintig uur is kort. Dat is geen termijn die je op het moment zelf gaat uitzoeken, dus leg nu vast wie belt en waarheen.
Registreren doet niemand voor je
Val je eronder, dan meld je je organisatie aan in het nationale entiteitenregister via MijnNCSC. Die registratieplicht geldt sinds 15 augustus 2026. Er komt geen brief, er komt geen herinnering, en je bent er zelf verantwoordelijk voor.
En als je er net buiten valt
Dan ben je waarschijnlijk leverancier van iemand die er wel onder valt. Die klant moet zijn keten op orde hebben, en de enige manier waarop hij dat kan aantonen is door het aan jou te vragen. Daar gaat het volgende artikel over.
Wat je deze maand kunt doen
Vier dingen, en geen daarvan kost een adviestraject.
- Doe de zelfevaluatie van de RDI en bewaar de uitkomst. Ook "wij vallen er niet onder" is een uitkomst die je wilt kunnen laten zien.
- Val je eronder, registreer dan. Dat is het enige punt met een deadline die al verstreken is.
- Zet op één A4 wie er bij een incident belt, wie beslist en welke drie termijnen er lopen. Dat is je eerste stuk zorgplicht en het kost een half uur.
- Kijk wat er nu echt aan staat in je eigen omgeving. Niet wat er in je beleid staat, maar wat de instellingen zeggen. Dat verschil is meestal het echte werk, en het is precies wat wij continu meten tegen NIS2 en vier andere normen.
Compliance is uiteindelijk niet het schrijven van een handboek. Het is kunnen laten zien dat wat je zegt te doen, ook echt aan staat.
Bronnen
Alle bronnen zijn geraadpleegd op 8 september 2026.
Nationaal Coördinator Terrorismebestrijding en Veiligheid. (2026). Welke organisaties vallen onder de Cyberbeveiligingswet? https://www.nctv.nl/onderwerpen/c/cyberbeveiligingswet/welke-organisaties-vallen-onder-de-cyberbeveiligingswet
Nationaal Coördinator Terrorismebestrijding en Veiligheid. (2026). Registratieplicht. https://www.nctv.nl/onderwerpen/c/cyberbeveiligingswet/registratieplicht
Nationaal Cyber Security Centrum. (2026). Cyberbeveiligingswet (NIS2). https://www.ncsc.nl/cyberbeveiligingswet-nis2
Nationaal Cyber Security Centrum. (2026). Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
Nationaal Cyber Security Centrum. (2026). Zorgplicht. https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
Nationaal Cyber Security Centrum. (2026). Meldplicht. https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
Rijksinspectie Digitale Infrastructuur. (2026). NIS2-Zelfevaluatie NL. https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
Rijksoverheid. (2026, 7 juli). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht. https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht